会員アカウントへの不正操作が判明し調査を継続
カプコンが運営するオンラインサービス「CAPCOM ID」で、196件の会員アカウントのパスワードが本人の許可なく変更されていたことが明らかになった。同社は10月22日、不正アクセスに伴う調査結果を公表し、登録情報の大量流出についても説明した。
今回の不正アクセスでは、全世界で1177万4247件のメールアドレスやシステム関連データが漏えいしている。さらに、一部のアカウントでは、ログインに使用する認証情報が書き換えられていた。
カプコンは該当する196件のパスワードをリセットした。変更された認証情報によって、第三者が会員サービスにログインしたかどうかについては、引き続き確認を行っている。
パスワード自体の流出は確認されず変更経緯は非公表
カプコンによると、利用者が登録したパスワードそのものが外部へ漏れた事実は確認されていない。しかし、実際には196件のアカウントでパスワードが無断変更されており、その経緯が問題となっている。
同社は変更が行われた具体的な方法について、現段階では公表できないとの立場を示した。パスワードが書き換えられた後に、利用者本人が意図しないログインが発生していたかどうかも調査対象となっている。
一方、利用者が承認していない課金サービスへの申し込みなど、金銭的な負担につながる事例はこれまでに確認されていない。
クレジットカード情報についても、今回の流出対象には含まれていないことが明らかにされている。
大量流出した登録情報には接続記録や利用履歴も含有
今回外部へ漏れた情報は、会員のメールアドレスだけではない。アカウントの登録日時、最終ログイン日時、ログインした回数、最後の接続時に記録されたクライアントIPアドレスなども含まれていた。
流出件数は世界全体で1177万4247件に上り、カプコンが提供するオンライン会員サービスの登録情報が広範囲に影響を受けた。
さらに、43件のアカウントでは、追加の個人情報が漏えいしたことも確認された。具体的には、生年月日、性別、登録された国・地域、サービス内で使用するニックネームなどが該当する。
こうした情報流出を受け、カプコンは自社や関連先を名乗る不審なメールへの警戒を呼びかけている。流出した情報が悪用される危険性について、利用者に注意を求める対応を取っている。
発覚当日にアクセスを遮断し社内で対応体制を整備
不正アクセスが発覚したのは10月19日だった。カプコンは会員サービスに不審な接続の痕跡が残されていることを把握し、直ちにアクセスを遮断した。
同時に、どのような攻撃が行われたのか、どの範囲の登録情報に影響が及んだのかを調べる作業を開始した。同日中には不正アクセスの発生を確認している。
翌20日には、社内に専門の対策本部を立ち上げ、原因の調査と被害状況の確認を進めた。その結果、会員情報の流出とパスワードの不正変更が明らかになった。
カプコンは、攻撃手段の特定とそれに対する処置を終えたとしている。緊急の安全対策も完了しており、会員サービスを停止することなく運営を続けている。
対象者への連絡と相談窓口の設置で利用者対応を強化
カプコンは、今回の問題で影響を受けた会員に対し、順次個別の連絡を行う方針を示した。特に、パスワードが不正に変更された196件については、すでにパスワードを初期化する措置を実施している。
また、利用者からの質問や相談に対応するため、専用の電話窓口を設けた。問い合わせ先は0120-801-271で、今回の不正アクセスに関する相談を受け付ける。
同社は、メールアドレスなどの流出を受けて、企業や関係者を装う不審な連絡に十分注意するよう求めている。
「CAPCOM ID」を使用する各種サービスは現在も利用可能となっている。一方で、パスワード変更後の不正ログインの有無については調査が続いており、カプコンは影響を受けた会員への対応を進めている。
